Databehandleraftale

Denne aftale er indgået mellem kunden, der har oprettet en konto i Arbejdslog ("den dataansvarlige"), og [Firmanavn], CVR [CVR-nummer], [Adresse, postnr. og by], e-mail [kontakt@firma.dk] ("databehandleren"). Den er en del af abonnementsvilkårene og opfylder kravene i databeskyttelsesforordningens artikel 28. Den accepteres, når kontoen oprettes.

1. Hvad aftalen dækker

• Formål: at levere Arbejdslog – arbejdssedler, timer, materialer, kørsel, prislister, PDF og fakturakladder.
• Registrerede: den dataansvarliges kunder, kontaktpersoner og ansatte.
• Oplysninger: almindelige personoplysninger – navn, adresse, telefon, e-mail, arbejdstid, kørsel (også GPS-positioner, når den ansatte måler kørsel i appen) og fotos. Der må ikke lægges følsomme oplysninger (fx helbred) eller CPR-numre ind.
• Varighed: så længe abonnementet løber, og derefter indtil data er slettet (senest 30 dage efter ophør).

2. Databehandlerens forpligtelser

• Behandler kun oplysningerne efter den dataansvarliges instruks, som er givet gennem denne aftale og brugen af tjenesten.
• Giver straks besked, hvis en instruks efter databehandlerens opfattelse er i strid med databeskyttelsesreglerne.
• Sikrer, at de personer, der har adgang til oplysningerne, har tavshedspligt.
• Træffer passende tekniske og organisatoriske sikkerhedsforanstaltninger (artikel 32) – se punkt 6.
• Hjælper den dataansvarlige med at besvare anmodninger fra de registrerede (indsigt, rettelse, sletning m.m.). Meget af det kan den dataansvarlige selv gøre i tjenesten.
• Underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter, at databehandleren er blevet opmærksom på et brud på persondatasikkerheden, med de oplysninger, der er nødvendige for en anmeldelse til Datatilsynet.
• Stiller de oplysninger til rådighed, der er nødvendige for at vise, at aftalen overholdes, og giver mulighed for revision. Revision betales af den dataansvarlige.

3. Underdatabehandlere

Den dataansvarlige giver generel tilladelse til, at databehandleren bruger underdatabehandlere. Databehandleren pålægger dem de samme forpligtelser som i denne aftale og varsler nye eller udskiftede underdatabehandlere mindst 30 dage før, så den dataansvarlige kan gøre indsigelse eller opsige aftalen. Godkendte underdatabehandlere i dag:

4. Overførsel til lande uden for EU

Oplysninger overføres kun til lande uden for EU/EØS med et gyldigt overførselsgrundlag efter forordningens kapitel V, som angivet ovenfor.

5. Ophør

Når aftalen ophører, kan den dataansvarlige hente sine data under Indstillinger. Databehandleren sletter derefter alle oplysninger senest 30 dage efter ophør, medmindre lovgivningen kræver, at de opbevares. Sikkerhedskopier slettes automatisk efter højst 30 dage.

6. Sikkerhedsforanstaltninger

• Al trafik er krypteret med HTTPS (TLS), og data er krypteret, når de er gemt.
• Data opbevares i EU (Irland).
• Hver virksomheds data er adskilt i databasen med adgangsregler (row level security), så brugere kun kan se deres eget firmas data, og ansatte kun det, de har brug for.
• Adgangskoder gemmes krypteret (hash) og kan ikke læses af nogen.
• Adgangsnøgler til andre systemer (fx e-conomic) kan ikke læses fra browseren.
• Daglige sikkerhedskopier.
• Kun databehandlerens nødvendige personale har administrativ adgang, og adgang logges hos leverandørerne.

7. Ansvar og lovvalg

Ansvarsbegrænsningerne i abonnementsvilkårene gælder også for denne aftale, i det omfang lovgivningen tillader det. Aftalen er underlagt dansk ret.